CVE-2026-15157
Açıklama
undici, duck-typed blob benzeri bir istek gövdesinin type özelliğini HTTP/1.1 dispatcher üzerinde Content-Type başlığı olarak kullanmadan önce doğrulamaz. undici 6.28.0 öncesinde, 7.0.0'dan 7.29.0 öncesine kadar ve 8.0.0'dan 8.9.0 öncesine kadar, type değeri güvenilmeyen girdiden türetilen elle hazırlanmış blob benzeri bir gövdeyi (request, stream, pipeline veya dispatch aracılığıyla) geçen bir uygulama, saldırganın CRLF dizileri enjekte etmesine ve rastgele HTTP başlıkları eklemesine olanak tanıyarak potansiyel olarak üst akışın ötesine ikinci bir istek kaçırmasına (smuggling) izin verir. Yerel Blob nesneleri güvenlidir çünkü yapıcıları type değerinden CRLF dizilerini temizler ve fetch etkilenmez çünkü başlıkları doğrular, ancak kullanıcı girdisinden duck-typed blob şekilleri oluşturan ekosistem kütüphaneleri savunmasız yola ulaşabilir. Bu, CVE-2022-35948 ve CVE-2026-1527 ile aynı kusur sınıfındadır ve önceki düzeltmelerin kapsamadığı bir başlık hedefi üzerindedir. Sorun undici 6.28.0, 7.29.0 ve 8.9.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- nodejs undici6.28.0, 7.29.0, 8.9.0 ya da sonraki bir sürüm
- undici6.28.0, 7.29.0, 8.9.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs undici | v < 6.28.0, 7.0.0 ≤ v < 7.29.0, 8.0.0 ≤ v < 8.9.0 | 6.28.0, 7.29.0, 8.9.0 |
| undicinpm | v < 6.28.0, 7.0.0 ≤ v < 7.29.0, 8.0.0 ≤ v < 8.9.0 | 6.28.0, 7.29.0, 8.9.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.